UPKI 認証連携基盤 属性仕様（案）1. 概要
本属性仕様は，「UPKI 認証連携基盤」において，認証の際に利用する属性情報について，その仕様を定めたものである。
この属性仕様では，「UPKI 認証連携基盤」に参加する各大学の IdP に格納する属性情報において，基本的な定義を表している。
本 属性仕 様は， SWITCH， InCommon， UK Access Management 等 ，海 外のFederation において実績のある Service Provider（サービスプロバイダ）が利用する属性情報を考慮に入れ検討を行った。
利用する属性情報は，利用する SP によって，様々異なってくることから，「UPKI認証連携基盤」では，今後，SP として利用するアプリケーションを検討しながら，本属性仕様について拡張していくことが重要である。
2. 属性情報一覧
No

1

2

3
4

5

6

属性名称
Principal Name

ユニーク ID(eduPersonPrincipalName)（主要名）

Country（ｃ）
Domain Component(dc)
User ID(uid)CommonName(cn)
Surname(surName)
Kanji Surname7(upkiSurName)‑> lang‑ja オプションで対応

8

データ例

Given name(givenName)

実装

12345678@testUniv̲A.ac.jp

必須

国名jp

推奨

ドメイン名

ac

推奨

ユーザ ID

12345678

推奨

一般名jouhou̲taro

推奨

姓

jouhou

推奨

情報

推奨

taro

推奨

姓
（日本語）

名

No

属性名称

データ例

実装

Kanji Given name9(upkiGivenName)

名
（日本語）

太郎

推奨

jouho̲taro

任意

情報太郎

任意

upki@nii.ac.jp

推奨‑> lang‑ja オプションで対応

10

Display Name(displayname)

表示名

Kanji Display Name
11(upkiDisplayName)

表示名
（日本語）

‑> lang‑ja オプションで対応
12

13

E‑mailメールアドレ(mail)ス

Home organization
(o)

所属組織

National institute ofInfromatics

必須

Kanji Home organization
14(upkiOrganization)

所属組織
（日本語）

国立情報学研究所

推奨

o=nii.dc=ac,c=jp

任意

短期大学

任意upki必須理学部

推奨

ou=test,o=Univ̲A,dc=org

任意‑> lang‑ja オプションで対応
15

Organization path(eduPersonOrgDN)
Kanji Home organization type16

(upkiOrganizationType)‑> lang‑ja オプションで対応

17

Organization Unit
(ou)

組織単位

所属機関タイプ（日本語）

所属組織識別Kanji Organization Unit
18

(upkiOrganizationUnit)

所属組織識別（日本語）‑> lang‑ja オプションで対応
19

Primary Organization Unit DN

主要組織(eduPersonPrimaryOrgDN)

識別名

No

2021222324252627282930

属性名称
Organizational unit path(eduPersonOrgUnitDN)
jpegPhoto（jpegPhoto)description(description)
Entitlement(eduPersonEnTitlement)
TargetedID(eduPersonTargetedID)
Affiliation(eduPersonAffiliation)
ScopedAffiliation(eduPersonScopedAffiliation)
Preferred Language(preferredLanguage)
Gender(swissEduPersonGender)
Date of birth(swissEduPersonDateofBirth)Staff category(swissEduPersonStaffCategory)

データ例

実装

組織

ou=upki,o=nii,dc=ac,c=jp

任意

写真データ

（写真データ）任意

備考

test̲account

任意資格

urn:mace:dir:entitlement:common‑lib‑terms

推奨ターゲット ID 13ac5b7d82fa

推奨

職種区分

staff

必須

所属内区分

faculty@nii.ac.jp

任意希望言語jp推奨

性別1（Male)任意

生年月日19730317任意

職種

301(Administrative Personnel)

任意

係長

任意

Kanji Staff Category
31(upkiStaffCategory)

職種
（日本語）

‑> lang‑ja オプションで対応
32

Business postal address(postalAddress)

職場住所2‑1‑2 hitotsubashi tiyoda‑kutokyo

任意Kanji business Postal address
33(upkiPostalAddress)

職場住所
（日本語）

‑> lang‑ja オプションで対応

東京都千代田区一ツ橋 2‑1‑2

任意

No34

35

属性名称
Business phone number(telephoneNumber)Home postal address(homePostalAddress)

データ例

職場連絡先

自宅住所

81‑3‑9887‑6543
1‑1‑1 kasumigaseki suginami‑ku
tokyo

実装

任意

任意

Kanji Home Postal address
36(upkiHomePostalAddress)

自宅住所

東京都杉並区霞が関 1‑1‑1

任意

自宅電話番号+81 3 1234 5678

任意

携帯電話番号+81 90 1234 5678

任意

（日本語）
‑> lang‑ja オプションで対応

37

38

Private phone number(homePhone)
Mobile phone number(mobile)※水色部分は必須の属性項目を表している。
※lang-ja オプションの利用では，UTF-8 文字列を BASE64 エンコードしたデータで格納する。

3. 属性 Meta 情報と注釈
本仕様で規定する属性は，以下の Meta 情報により定義する。

概要セマンティクス

属性情報の概要
当該属性の持つ意味【必須】：格納することが必要となる属性（UPKI 認証連携基盤に実装状況

加入するサービスが必要とする属性）【推奨】：強く格納することが望まれる属性（特別なユーザの認証等の用途に利用される属性）【任意】：利用判断が任意である属性【認証・認可】：アクセスコントロールのために利用

利用目的【課金管理等】：課金管理のために利用【付加的情報】：上記以外の利用目的で，ユーザに付加的な価値サービスを提供するために利用【UPKI 利用】
：UPKI 認証連携基盤内で利用する特別な属性値

属性起源

本属性値が定義されている源泉（例：RFC4519, eduPerson）
オブジェクトクラスや LDAP で利用する構成要素を一意に指定するためのオブジェクト識別子（Object IDentifier）

OID

LDAP 属性構文(RFC 4517)に準じる。
【属性型】

属性構文

Directory String
1.3.6.1.4.1.1466.115.121.1.15

Unicode (UTF-8)の文字列

IA5String
1.3.6.1.4.1.1466.115.121.1.26

ASCII 文字列

【照合順序】
caseIgnoreMatch
英字の大小文字，先頭・末尾の空白を無視し，連続する空白を 1 つの空白として照合
caseExactMatch
英字の大小文字，空白も考慮して照合

複数

値

複数の値を設定することができるかどうか

参考例

属性情報の参考データ例

4. 属性情報定義
4.1. Principal Name (eduPersonPrincipalName)
概要

UPKI 認証連携基盤の中で，ユニークな個人の識別子（主要名）<unique-ID>@<domain><unique-ID>：ユニーク ID
各 domain の中でユニークな ID でなければならない。各大学の共通 ID（学内統一 ID）等がこれに相当する。使用する文字列につセマンティクス

いては ASCII 英数字（制御文字を除く）のみとし，日本語は使用不可とする。
<domain>：組織の識別子
利用者の所属する組織の識別子である。各大学の各 domain を持ち，フェデレーション内において一意であることが保証された値を持つ。既に登録されている，所属機関のインターネットドメイン名を利用することを推奨する。

実装状況

必須

利用目的

【認証・認可】属性起源

eduPerson で定義済み

OID

1.3.6.1.4.1.5923.1.1.1.6【属性型】Directory String

属性構文

ユニーク ID 部分は最少 6 文字とし，属性値全体長は256 文字までの値とする。
【照合順序】caseIgnoreMatch

複数値

ユニーク値であるため，複数値の設定は許可しない

参考例

1234567@testUniv_A.nii.ac.jp

4.2. Home Organization (o)概要

セマンティクス

利用者が所属する組織（domain）を識別する
利用者の所属組織を記入すること。所属機関のインターネットドメインと同値することを推奨する。

実装状況

必須

利用目的

【認証・認可】属性起源

Organization schema で必須属性として定義

OID

2.5.4.10

属性構文【属性型】Directory String
属性値全体長は 256 文字までの値とする。
【照合順序】caseIgnoreMatch

複数値

所属組織自体を表すため，複数値の設定は許可しない

参考例

National Institute of Informatics

4.3.Organization Unit (ou)概要利用者が所属する組織の所属詳細を識別する

セマンティクス

所属組織内の所属詳細を記述する。

実装状況

必須

利用目的

【認証・認可】属性起源

Organization schema で定義

OID

2.5.4.11

【属性型】Directory String
属性値全体長は 256 文字までの値とする。

属性構文【照合順序】caseIgnoreMatch
複数値

複数値の設定を許可する。
なお，階層レベルについては，今後検討を要する。

参考

例

Infrastructure Planning Division

4.4. Affiliation (eduPersonAffiliation)
概要利用者の職種区分を識別する
利用者と所属組織との関係（例：student，faculty，staff 等）

セマンティクス

値として”misc”や”other”を利用しないこと。これらの値は，”noneof the above”と同値となるからです。これら場合は，本属性値に空白(NULL)を設定すること。

実装状況

必須利用目的【認証・認可】属性起源

eduPerson で定義

OID

1.3.6.1.4.1.5923.1.1.1.1

属性構文【属性型】Directory String
属性値全体長は 256 文字までの値とする。
【照合順序】caseIgnoreMatch

複数値

参考

例

複数の値を許可する。
なお，兼業等の取り扱いについては，今後検討を要する。
student，faculty，staff，”NULL” のみ利用可能

5. 参考資料[eduPerson]
EduPerson Object Class Specification
http://www.educause.edu/eduperson/[IANA]
Internet Assigned Numbers Authority
http://www.iana.org/[ISO 9834]
ISO/IEC 9834-8:2005 Information Technology - Procedures for the operation ofOSI Registration Authorities: Generation and registration of Universally Unique
Identifiers (UUIDs) and their use as ASN.1 Object Identifier components[ITU-T E.123]
Notation for national and international telephone numbers, e-mail addresses and Webaddresses
http://www.itu.int/rec/T-REC-E.123/en[LDAP Schema]
LDAP Schema for AAI Attributes
http://www.switch.ch/aai/docs/LDAP-schemas/[RFC 2119]
RFC 2119: Key words for use in RFCs to Indicate Requirement Levels
http://www.ietf.org/rfc/rfc2119.txt[RFC 2798]
RFC 2798: Definition of the inetOrgPerson LDAP Object Classhttp://www.ietf.org/rfc/rfc2798.txt[RFC 2849]
RFC 2849: The LDAP Data Interchange Format (LDIF) - Technical Specification
http://www.ietf.org/rfc/rfc2849.txt[RFC 3339]
RFC 3339: Date and Time on the Internet: Timestamps
http://www.ietf.org/rfc/rfc3339.txt[RFC 3986]
RFC 3986: Uniform Resource Identifiers (URI): Generic Syntax
http://www.ietf.org/rfc/rfc3986.txt[RFC 4517]
RFC 4517: Lightweight Directory Access Protocol (LDAP): Syntaxes and Matching Rules
http://www.ietf.org/rfc/rfc4517.txt[RFC 4646]
RFC 4646: Tags for Identifying Languages
http://www.ietf.org/rfc/rfc4646.txt